Intel

CVE-2026-66038

Security update for ffmpeg-4

highEPSS 0.2 %

Beschreibung

FFmpeg bis Version 8.1.2 enthält eine Schwachstelle für Informationsleckage im LCL/ZLIB-Videodecoder, die es Angreifern ermöglicht, uninitialisierte Heap-Speicherinhalte preiszugeben, indem sie einen gültigen zlib-Stream bereitstellen, der sich zu weniger Bytes aufbläht als die erwartete Bildgröße. Die Funktion `zlib_decomp()` in `lcldec.c` behandelt eine kurze Dekompression als nicht-fatal und setzt den Weg zur RGB24-Konvertierung fort, wobei ein vollständiges Bild an Zeilen aus dem Puffer mit den ursprünglichen Bildabmessungen kopiert wird. Dies führt dazu, dass uninitialisierte Heap-Inhalte, einschließlich bytes von zeigerbasierten Allokatoren, in die vom Angreifer beobachtbare AVFrame-Ausgabe kopiert werden und potenziell ASLR bei langfristigen Medienverarbeitungsdiensten umgeht.

Quelle: SUSE_CSAFSUSE_CSAFBSIBSI_CSAFUBUNTU_USNUBUNTU_USNCVELISTV5NVDCVEORG

Metriken

Severity
high
Priority-Score
117.83
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
7.1
Quelle: nvd-v4
CVSS v3
6.5
CVSS v4
7.1
EPSS-Perzentil
15.3 %
Erhöht — CVE ist relevanter als mindestens 10 % der heute bewerteten CVEs.
EPSS-Score
0.2 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-08-10 12:50 UTC
CWE
CWE-908

Weakness-Klassen (CWE)

  • CWE-908Base

    Use of Uninitialized Resource

    The product uses or accesses a resource that has not been initialized.

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. Initial Analysis2026-08-07 00:54 UTC· nvd@nist.gov
    • CVSS V3.1: AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
    • CPE Configuration: OR *cpe:2.3:a:ffmpeg:ffmpeg:*:*:*:*:*:*:*:* versions up to (including) 8.1.2
    • Reference Type: VulnCheck: https://code.ffmpeg.org/FFmpeg/FFmpeg/commit/e7cbfd1c507b57a806a5825b87d609963e862c8c Types: Patch
    • Reference Type: VulnCheck: https://code.ffmpeg.org/FFmpeg/FFmpeg/pulls/23626 Types: Issue Tracking, Patch
  2. CVE Modified2026-07-24 21:16 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • SSVC: {"id":"CVE-2026-66038","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalI…
  3. New CVE Received2026-07-24 20:18 UTC· disclosure@vulncheck.com
    • Affected: FFmpeg
    • Description: FFmpeg through 8.1.2, fixed in commit 8670835, contains an information disclosure vulnerability in the LCL/ZLIB video decoder that allows attackers to expose uninitialized heap memory by supplying a valid zlib stream that inflates to fewer bytes than the expected frame size. The zlib_decomp() function in lcldec.c treats short decompression as non-fatal and continues to the RGB24 conversion path, which copies a full frame's worth of rows from the allocation buffer using original frame dimensions, causing uninitialized heap contents including pointer-derived allocator bytes to be copied into the attacker-observable AVFrame output and potentially defeating ASLR in long-lived media processing services.
    • CVSS V4.0: AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
    • CVSS V3.1: AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Betroffene Betriebssysteme

  • linux

    debian / ffmpegtrixie

  • linux

    ubuntu / ffmpegbionic

  • linux

    ubuntu / ffmpegfocal

  • linux

    ubuntu / ffmpegjammy

  • linux

    ubuntu / ffmpegnoble

  • linux

    ubuntu / ffmpegxenial

Quellen & Referenzen

Verknüpfte CVEs

IDCVE-2026-66038